Guías-E

1. DATOS GENERALES

Asignatura:

GESTIÓN DE AUDITORÍA Y SEGURIDAD

Código:

310608

Tipología:

OBLIGATORIA

Créditos ECTS:

6

Grado:

2327 - MASTER UNIVERSITARIO ENINGENIERÍA INFORMÁTICA (AB)

Curso académico:

2018-19

Centro:

604 - E.S. DE INGENIERIA INFORMATICA ALBACETE

Grupo(s):

10 11

Curso:

1

Duración:

Primer cuatrimestre

Lengua principal de impartición:

Español

Segunda lengua:

Uso docente de otras lenguas:

English Friendly:

N

Página web:

https://campusvirtual.uclm.es/login/index.php

Bilingüe:

N

Profesor: ENRIQUE ARIAS ANTUNEZ - Grupo(s): 10 11

Edificio/Despacho

Departamento

Teléfono

Correo electrónico

Horario de tutoría

Agrupación Politécnica/ Desp. 0.A.8

SISTEMAS INFORMÁTICOS

2497

enrique.arias@uclm.es

Profesor: JOSE LUIS MARTINEZ MARTINEZ - Grupo(s): 10 11

Edificio/Despacho

Departamento

Teléfono

Correo electrónico

Horario de tutoría

ESII-1.C.11

SISTEMAS INFORMÁTICOS

2294

joseluis.martinez@uclm.es

2. REQUISITOS PREVIOS

No se han establecido.

3. JUSTIFICACIÓN EN EL PLAN DE ESTUDIOS, RELACIÓN CON OTRAS ASIGNATURAS Y CON LA PROFESIÓN

Esta asignatura pertenece a la materia de "Calidad y Seguridad", y ofrece al alumno una amplia visión de los conceptos de auditoría y seguridad, así como el papel que estos conceptos juegan en los sistemas de información de las empresas.

Mediante Gestión de Auditoría y Seguridad se pretende dar conocer los aspectos relativos a la auditoría y seguridad de los sistemas y tecnologías de información, contemplando tanto los aspectos legislativos como los normativos, entre otras dimensiones.

En la profesión de Ingeniería Informática, las competencias relativas con la gestión de la auditoría y seguridad son de las más demandadas y reconocidas, desde el gobierno y gobernanza de las TI, hasta la creación y gestión de Sistemas de Gestión de la Seguridad de la Información (SGSI), la realización de análisis y gestión de riesgos, así como análisis de su impacto en las empresas. La puesta en marcha de departamentos de auditoría y gestión de la seguridad (Control Interno), así como afrontar otros retos en temas emergentes de gestión de la auditoría y la seguridad relativa a ciberseguridad, infraestructuras críticas, planes de contingencia y recuperación ante desastres, también son actividades clave para esta profesión.

4. COMPETENCIAS DE LA TITULACIÓN QUE LA ASIGNATURA CONTRIBUYE A ALCANZAR

Competencias propias de la asignatura
Código	Descripción
CE6	Capacidad para asegurar, gestionar, auditar y certificar la calidad de los desarrollos, procesos, sistemas, servicios, aplicaciones y productos informáticos
INS3	Capacidad de gestión de la información
INS4	Capacidad de resolución de problemas aplicando técnicas de ingeniería
INS5	Capacidad para argumentar y justificar lógicamente las decisiones tomadas y las opiniones
PER1	Capacidad de trabajo en equipo
PER2	Capacidad de trabajo en equipo interdisciplinar
PER4	Capacidad de relación interpersonal
PER5	Reconocimiento a la diversidad, la igualdad y la multiculturalidad
SIS1	Razonamiento crítico
SIS2	Compromiso ético
SIS3	Aprendizaje autónomo
SIS9	Tener motivación por la calidad
UCLM2	Capacidad para utilizar las Tecnologías de la Información y la Comunicación
UCLM4	Compromiso ético y deontología profesional

5. OBJETIVOS O RESULTADOS DE APRENDIZAJE ESPERADOS

Resultados de aprendizaje propios de la asignatura
Descripción
Evaluar y certificar la seguridad de los sistemas software en base a las normas y estándares existentes, así como a los modelos de madurez de la seguridad más adecuados
Planificar, poner en marcha y explotar departamentos responsables de las tareas de auditoría, seguridad y gestión de la calidad en las empresas
Realizar auditorías de la dirección de informática en base a las normas y estándares existentes
Realizar auditorías de seguridad de los sistemas en base a las normas y estándares existentes
Resultados adicionales
No se han establecido.

6. TEMARIO

Tema 1: Introducción a la Gestión de la Auditoría y la Seguridad
Tema 2: Introducción a la Seguridad y Adutoría de los Sistemas de Información
Tema 3: GRC: Gobernanza, Gestión del Riesgo y Cumplimiento. Grado de Madurez frente al riesgo.
Tema 4: Áreas de la Auditoría y estándares relativos
Tema 5: Certificación de seguridad y buenas prácticas
Tema 6: Sistema de Gestión de Seguridad de la Información
Tema 7: Legislación
Tema 8: Introducción a las auditorías técnicas
Tema 9: Reconocimiento
Tema 10: Auditoría de red
Tema 11: Scapy como herramienta para el auditor
Tema 12: Análisis de Malware
Tema 13: Explotación de Vulnerabilidades
Tema 14: Prácticas
- Tema 14.1: Auditoría del espacio físico
- Tema 14.2: Identificación de activos de información y sus requisitos de seguridad
- Tema 14.3: Apreciación del riesgo
- Tema 14.4: Análisis del riesgo
- Tema 14.5: Selección de controles. Gestión del riesgo
- Tema 14.6: Reconocimiento en IoT
- Tema 14.7: Auditoría de red en IoT
- Tema 14.8: Auditoría de los protocolos IoT
- Tema 14.9: Análisis de Malware en IoT
- Tema 14.10: Explotación de vulnerabilidades en IoT

7. ACTIVIDADES O BLOQUES DE ACTIVIDAD Y METODOLOGÍA

Actividad formativa	Metodología	Competencias relacionadas (para títulos anteriores a RD 822/2021)	ECTS	Horas	Ev	Ob	Rec	Descripción *
Enseñanza presencial (Teoría) [PRESENCIAL]	Combinación de métodos	CE6 INS3 INS4 INS5 SIS1 SIS2 SIS9 UCLM4	1.6	40	S	S	S	Esta actividad se desarrolla durante el espacio de tiempo dedicado a teoría exponiendo los conceptos fundamentales que serán objeto del examen final. Los alumnos semipresenciales la realizarán bien por videoconferencia, o visionando las grabaciones de la clase a posteriori.
Prácticas de laboratorio [PRESENCIAL]	Aprendizaje orientado a proyectos	CE6 INS3 INS4 INS5 PER1 PER2 PER4 PER5 SIS1 SIS2 SIS3 SIS9 UCLM2 UCLM4	0.8	20	S	S	S	Las prácticas de laboratorio se organizan según temario en el laboratorio. Tanto presenciales como semipresenciales han de realizar todas las prácticas, y por tanto,enviar los informes pertinentes y realizar el examen de prácticas.
Tutorías individuales [PRESENCIAL]		SIS1 SIS2 SIS9 UCLM4	0.3	7.5	N	N	N	Esta actividad se realiza de manera presencial en el despacho del tutor y de manera semipresencial a través de videoconferencia por tutoría digital.
Otra actividad no presencial [AUTÓNOMA]	Aprendizaje basado en problemas (ABP)	CE6 INS3 INS4 INS5 PER1 PER2 PER4 PER5 SIS1 SIS2 SIS3 SIS9 UCLM2 UCLM4	1.5	37.5	N	N	N	Resolución de problemas y preparación de casos: Esta actividad se realiza fuera de aula y/o laboratorio que consiste en repaso de documentación adicional necesaria para la marcha correcta del grupo grande. Se suele basar en los recursos adicionales proporcionados por el profesor a través de la plataforma Campus Virtual. Además, se han de analizar y estudiar de manera individual normativas como LOPD para comentar en el foro.
Estudio o preparación de pruebas [AUTÓNOMA]	Trabajo autónomo	CE6 INS3 INS4 INS5 PER1 PER2 PER4 PER5 SIS1 SIS2 SIS3 SIS9 UCLM2 UCLM4	1.8	45	N	N	N	PLAB Preparación de prácticas de laboratorio: Previo al desarrollo de las prácticas, los alumnos han de repasar los estándares internacionales en las que estas se basan, así como el funcionamiento de las herramientas que se utilizarán para la realización de las mismas.
Total:			6	150
Créditos totales de trabajo presencial: 2.7			Horas totales de trabajo presencial: 67.5
Créditos totales de trabajo autónomo: 3.3			Horas totales de trabajo autónomo: 82.5

Ev: Actividad formativa evaluable
Ob: Actividad formativa de superación obligatoria
Rec: Actividad formativa recuperable

8. CRITERIOS DE EVALUACIÓN Y VALORACIONES

	Valoraciones
Sistema de evaluación	Estudiante presencial	Estud. semipres.	Descripción
Presentación oral de temas	10.00%	10.00%	(PRES) En el trascurso del cuatrimestre se realizará un trabajo en grupo o de manera individual sobre ciertos aspectos jurídicos. Para este trabajo no será necesaria la presentación de una memoria, pero sí de realizar una exposición en clase. La puntuación será de 1 punto.
Práctico	25.00%	25.00%	(LAB) Las prácticas relativas a auditoría de sistemas IoT se valorarán hasta 2,5 puntos. Éstas se evaluarán con la supervisión del alumno en el laboratorio.
Elaboración de trabajos teóricos	15.00%	15.00%	(INF) Las prácticas de gestión de riesgo se evaluarán con la presentación informes de prácticas. En particular se presentará un informe de la práctica 1, otro de las prácticas 2 y 3, y finalmente uno de la práctica 4 y 5. Cada informe tendrá un valor de 5%, esto es, 0,5 puntos.
Prueba final	50.00%	50.00%	(ESC) A mitad de la asignatura tendrá lugar un examen parcial (Examen parcial I), sobre la parte de la asignatura relativa a gestión del riesgo, con una puntuación de 2 puntos. Al final de la asignatura habrá un examen parcial relativa a auditoría de sistemas IoT (Examen parcial II) que tendrá una puntuación de 1 punto, así como un supuesto práctico con una puntuación de 2 puntos. En el caso de no hacer el Examen parcial I, se iría con toda la materia a un examen final.
Total:	100.00%	100.00%

Criterios de evaluación de la convocatoria ordinaria:

La nota se divide en 6 puntos relativos a las prácticas, 3 puntos de teoría y 1 punto de presentación.

.- De los 6 puntos de prácticas hay que sacar al menos 3, de los cuales 2 son recuperables y pertenecen al examen de prácticas. El resto de puntos obtenidos por los informes de las prácticas y por las prácticas de auditoría de sistemas no lo son. Estas últimas, se evaluarán con de manera continua consistiendo en 5 test tipo a través de moodle, cada test correspondiente a cada una de las semanas; pudiéndose hacer desde su ubicación. Los test serán V/F y restarán las respuestas falsas. La duración será de 4-5 minutos y se llevarían a cabo los Lunes, en los 5 primeros minutos de clase los presenciales y los de no presenciales los podrán hacer hasta las 23.50 de la noche. De esta manera, el Lunes se evalúan los contenidos vistos en la semana anterior y, de esta manera, se comienza con los contenidos nuevos de la semana en curso.
.- De los 3 puntos de teoría hay que sacar al menos 1. En la convocatoria ordinaria se realizará un parcial de la segunda parte de la asignatura o todo si el estudiante no se ha presentado al primer parcial. Los puntos de teoría son recuperables
.- El último punto se refiera a la presentación de trabajo y no hay que obtener un mínimo, siendo por lo tanto sumativo y no recuprable.

Para superar la asignatura, entre todo, hay que sumar al menos 5 puntos.

La nota superada en cada parte se guardará hasta la convocatoria especial de finalizacion, si el alumno decide presentarse a extraordinaria o finalización bien para mejorar la nota o bien para recuperar las partes que le quedan.

Particularidades de la convocatoria extraordinaria:

No se guardarán los parciales, por lo que en el caso de teoría se pueden recuperar los 3 puntos de teoría.
En el caso de las prácticas es recuperable el examen de prácticas final.

Particularidades de la convocatoria especial de finalización:

No se guardarán los parciales, por lo que en el caso de teoría se pueden recuperar los 3 puntos de teoría.
En el caso de las prácticas es recuperable el examen de prácticas final.

9. SECUENCIA DE TRABAJO, CALENDARIO, HITOS IMPORTANTES E INVERSIÓN TEMPORAL

No asignables a temas
Horas	Suma horas

Tema 1 (de 14): Introducción a la Gestión de la Auditoría y la Seguridad
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	6
Periodo temporal: Semana 1
Comentario: .

Tema 2 (de 14): Introducción a la Seguridad y Adutoría de los Sistemas de Información
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	6
Periodo temporal: Semana 1 y 2

Tema 3 (de 14): GRC: Gobernanza, Gestión del Riesgo y Cumplimiento. Grado de Madurez frente al riesgo.
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	3
Periodo temporal: Semanas 2

Tema 4 (de 14): Áreas de la Auditoría y estándares relativos
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	6
Periodo temporal: Semana 3

Tema 5 (de 14): Certificación de seguridad y buenas prácticas
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	3
Periodo temporal: Semana 5

Tema 6 (de 14): Sistema de Gestión de Seguridad de la Información
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	3
Periodo temporal: Semana 5

Tema 7 (de 14): Legislación
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	5
Estudio o preparación de pruebas [AUTÓNOMA][Trabajo autónomo]	15.5
Periodo temporal: Semana 10

Tema 8 (de 14): Introducción a las auditorías técnicas
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Otra actividad no presencial [AUTÓNOMA][Aprendizaje basado en problemas (ABP)]	5.5
Periodo temporal: Semana 11

Tema 9 (de 14): Reconocimiento
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	2
Tutorías individuales [PRESENCIAL][]	.5
Estudio o preparación de pruebas [AUTÓNOMA][Trabajo autónomo]	6
Periodo temporal: Semana 11

Tema 10 (de 14): Auditoría de red
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Periodo temporal: semana 12

Tema 11 (de 14): Scapy como herramienta para el auditor
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Periodo temporal: semana 13

Tema 12 (de 14): Análisis de Malware
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Periodo temporal: semana 14

Tema 13 (de 14): Explotación de Vulnerabilidades
Actividades formativas	Horas
Enseñanza presencial (Teoría) [PRESENCIAL][Combinación de métodos]	4
Periodo temporal: semana 15

Tema 14 (de 14): Prácticas
Actividades formativas	Horas
Prácticas de laboratorio [PRESENCIAL][Aprendizaje orientado a proyectos]	20
Tutorías individuales [PRESENCIAL][]	3
Estudio o preparación de pruebas [AUTÓNOMA][Trabajo autónomo]	23.5
Grupo 10:
Inicio del tema: 15-10-2018	Fin del tema: 18-01-2019
Grupo 11:
Inicio del tema: 15-10-2018	Fin del tema: 19-01-2019
Comentario: En la planificación semanal anteriormente expuesta hay semanas que no aparecen o están a mitad ya que conviven con las prácticas.

Actividad global
Actividades formativas	Suma horas

Comentarios generales sobre la planificación:

La planificación podría varias en función de la dinámica del propio grupo. Los cambios serán consensuados por todos los agentes implicados y notificados en la plataforma virtual de manera pertinente y siempre por adelantado.

10. BIBLIOGRAFÍA, RECURSOS

Autor/es	Título	Libro/Revista	Editorial	ISBN	Año	Descripción	Enlace Web
						Página web dedicada a la normativa ISO27000	www.iso27000.es
						Information Systems Audit and Control Association	www.isaca.org
						BSI Group	www.bsigroup.es
						Asociación Española de Normalización	www.aenor.es
						National Institute of Standards and Technology	www.nist.gov
						MAGERIT versión 3. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información	https://www.ccn-cert.cni.es/publico/herramientas/pilar5/magerit/
						The Committee of Sponsoring Organizations of the Treadway Commission (COSO)	http://www.coso.org/
	OWASP Internet of Things Project						https://www.owasp.org/index.php/OWASP_Internet_of_Things_Project
	Seguridad IoT en Sanidad						https://apisa.com.es/wp-content/uploads/2018/05/Seguridad-IoT-en-Sanidad-Estamos-Preparados.pdf
DEL PESO NAVARRO, EMILIO / DEL PESO, MAR / PIATTINI VELTHUIS, MARIO G	AUDITORÍA DE TECNOLOGÍAS Y SISTEMAS DE INFORMACIÓN.	Libro	RA-MA	978-84-7897-849-6	2008	En la actualidad nadie duda que la información se ha convertido en uno de los activos principales de las empresas, representando las tecnologías y los sistemas relacionados con la información su principal ventaja estratégica. Las organizaciones invierten enormes cantidades de dinero y tiempo en la creación de sistemas de información y en la adquisición y desarrollo de tecnologías que les ofrezcan la mayor productividad y calidad posibles. Es por eso que los temas relativos a la auditoría de las tecnologías y los sistemas de información (TSI) cobran cada vez más relevancia a nivel mundial. Esta obra presenta de forma clara y precisa los conceptos fundamentales sobre control interno y auditoría de TSI, ofrece un tratamiento sistemático de las técnicas y métodos del auditor informático, aborda los aspectos organizativos, jurídicos y deontológicos asociados a la auditoría de TSI, expone en profundidad las principales áreas de la auditoría de TSI: física, seguridad, explotación, bases de datos, redes, técnica de sistemas, dirección, aplicaciones, etc.; y proporciona pautas y experiencias que ayuden al auditor en sus tareas. Colaboran en el libro más de veinte autores, entre los que se encuentran profesores de universidad y profesionales de reconocido prestigio en el mundo de la auditoría de TSI, reuniendo algunos de ellos las dos cualidades, lo que aporta un gran valor añadido a la obra al ofrecer perspectivas y experiencias muy variadas sobre prácticamente todos los aspectos relacionados con este tema.	http://www.ra-ma.es/libros/AUDITORIA-DE-TECNOLOGIAS-Y-SISTEMAS-DE-INFORMACION/338/978-84-7897-849-6
Daniel Echevarri Montoya	Hacking con Python		0xword	978-84-606-5559-6	2017
David Puente Castro	Linux Exploiting. Técnicas de explotación de vulnerabilidades en Linux para la creación de exploits		0xword	978-84-616-4218-2	2017
Juan Luis García Rambla	Ataques en redes de datos IPv4 e IPv6		0xword	978-84-617-9278-8	2017
Michael Sikorski and Andrew Honig	Practical Malware Analysis: The Hands-On Guide to Dissecting Malicious Software		No Starch Press	978-1593272906	2012
Pablo González Pérez y Chema Alonso	Metasploit para Pentesters.		0xword	978-84-617-1516-9	2017
Pablo González, Germán Sánchez y Jose Miguel Soriano.	Pentesting con Kali Linux Rolling Release 2017		0xword	978-84-608-3207-2	2017